EN 13557 Sécurité des commandes de grues
Aperçu de la norme : La norme EN 13557 « Appareils de levage à charge suspendue — Dispositifs de commande et postes de conduite » est une norme européenne de sécurité publiée par le CEN/TC 147. Elle définit les exigences ergonomiques, les fonctions de sûreté et les exigences de fiabilité applicables aux postes de conduite des grues (cabines, postes à boutons, télécommandes). En tant que norme harmonisée au titre de la directive européenne 2006/42/CE, tout appareil de levage destiné au marquage CE doit satisfaire aux exigences de l'EN 13557 pour ses dispositifs de commande.
Les dispositifs de commande d’une grue constituent l’interface critique entre l’opérateur et la machine — l’emplacement d’un bouton ou le mode de réarmement d’un arrêt d’urgence peut, en situation d’urgence, faire la différence entre un incident évité et un accident grave. L’EN 13557 s’articule autour d’une architecture de sécurité à trois niveaux (arrêt d’urgence, protection par fins de course, redondance de la logique de commande) et définit de manière exhaustive les exigences de conception, d’installation et de vérification des postes de conduite. Cet article analyse la logique de conception de cette norme, niveau par niveau.
Niveau 1 : Dispositifs d’arrêt d’urgence
L’EN 13557 exige qu’à chaque poste de conduite (cabine, poste à boutons au sol, émetteur de télécommande) soit installé au moins un dispositif d’arrêt d’urgence. Le bouton d’arrêt d’urgence doit être de type champignon rouge (diamètre ≥ 40 mm) sur fond jaune ; une fois enfoncé, il se verrouille en position d’ouverture et ne peut être réarmé que manuellement par rotation ou traction — le réarmement automatique est interdit. Le circuit d’arrêt d’urgence est conçu selon le principe de « contacts à fermeture en série » : les contacts à fermeture de tous les boutons d’arrêt d’urgence sont montés en série dans le circuit de relais de sécurité ; l’enfoncement d’un seul bouton coupe l’alimentation de la bobine du contacteur principal, réalisant ainsi un arrêt de catégorie 0 (coupure immédiate de la source d’énergie).
La hauteur d’installation du dispositif d’arrêt d’urgence correspond à la position naturelle de la main de l’opérateur, en position debout ou assise — pour un poste à boutons au sol, le centre du bouton d’arrêt d’urgence se situe à 900~1100 mm du sol ; en cabine, il est monté sur le panneau incliné à 45° en haut à gauche du pupitre. L’indice de protection (IP) du bouton d’arrêt d’urgence doit être au minimum IP65 (extérieur) ou IP54 (intérieur), et l’entrée de câble doit être assurée par un presse-étoupe étanche à l’eau.
Niveau 2 : Fins de course et dispositifs de protection
L’EN 13557 impose que le mécanisme de levage soit équipé de fins de course de fin de course supérieure et inférieure (double redondance — fin de course de décélération + fin de course de fin de course). Lorsque le fin de course de décélération est actionné, la vitesse élevée est coupée et le passage automatique en vitesse lente est enclenché ; lorsque le fin de course de fin de course est actionné, le circuit principal est directement coupé et verrouillé — le déverrouillage nécessite un interrupteur à clé de réarmement manuel ou une commande inverse. Le limiteur de charge et le limiteur de moment de charge sont réglés à une valeur ne dépassant pas 1,1 fois la charge nominale (alarme en cas de surcharge de 10 % et coupure des mouvements de levage et de variation de portée en direction ascendante).
Pour les grues dont plusieurs mécanismes fonctionnent simultanément, l’EN 13557 exige que la logique de commande intègre une fonction d’interverrouillage interdisant les combinaisons de mouvements dangereuses : par exemple, sur une grue à portique, la translation du pont à grande vitesse combinée à la translation du chariot à grande vitesse peut provoquer des oscillations violentes de l’ensemble de la machine — la logique de commande doit donc limiter la simultanéité des vitesses élevées ; de même, la combinaison du levage et de la descente de la flèche de variation de portée peut entraîner une chute accélérée incontrôlée de la flèche — une logique d’interdiction doit être programmée dans l’API.
Niveau 3 : Logique de commande et API de sécurité
L’EN 13557 exige que les circuits de commande des fonctions de sûreté de la grue (arrêt d’urgence, fins de course, protection contre la surcharge) atteignent le niveau de performance PLd défini par l’ISO 13849-1 (probabilité moyenne de défaillance dangereuse de 10⁻⁶ à 10⁻⁷/h) ou le niveau d’intégrité de sécurité SIL2 selon la CEI 62061. Mise en œuvre : un API de sécurité associé à des modules d’entrée redondants — les signaux d’arrêt d’urgence et de fin de course sont raccordés simultanément à deux canaux d’entrée indépendants ; le signal n’est validé que si les résultats logiques des deux canaux sont identiques. En cas de conflit entre les canaux (par exemple, un canal fermé et l’autre ouvert), l’état est considéré comme une défaillance ; l’API de sécurité coupe la sortie et verrouille le code de défaut.
Les contacteurs du circuit de relais de sécurité doivent être dotés de contacts à ouverture forcée (conformément à l’annexe A de la CEI 60947-4-1) : même si les contacts sont soudés par un courant excessif, le levier mécanique à ouverture forcée sépare physiquement les contacts, éliminant ainsi le mode de défaillance critique « impossibilité de couper le circuit après soudage ».
Exigences ergonomiques
L’EN 13557 impose des exigences ergonomiques détaillées pour la disposition et le marquage des dispositifs de commande. L’espacement entre boutons doit être d’au moins 15 mm (commande au doigt) et d’au moins 25 mm (commande avec gants), afin d’éviter toute activation involontaire. Les boutons de levage et de descente doivent être disposés verticalement (levage en haut, descente en bas), conformément à la représentation spatiale verticale intuitive de l’opérateur. Les panneaux multifonctions sont divisés en zones par des lignes sérigraphiées ou des blocs de couleur — zone de levage (cadre jaune ou vert), zone de translation du pont (cadre bleu), zone de translation du chariot (cadre gris).
L’émetteur de télécommande doit être équipé d’un interrupteur de validation (enabling switch, également appelé « interrupteur homme mort ») — l’opérateur maintient naturellement son doigt sur cet interrupteur lorsqu’il tient la télécommande ; dès qu’il relâche la pression (chute ou perte de connaissance), l’interrupteur se coupe, interrompant toutes les fonctions de sortie et provoquant l’arrêt immédiat de la grue. Il s’agit de la dernière protection physique empêchant la grue de continuer à fonctionner après une perte de contrôle de la télécommande.
| Niveau de sécurité | Fonction | Mode de réalisation | niveau de sécurité |
|---|---|---|---|
| L1 Arrêt d | Coupure immédiate de l | Bouton champignon rouge NCContact en série | PLd |
| L2 Fin de course | Protection de course | Décélération+Double fin de courseredondance | PLc |
| L3 Logique | Commanderedondance | API de sécuritédouble canal | SIL2 |
Questions fréquentes
Q : Pourquoi le bouton d'arrêt d'urgence doit-il être à accrochage mécanique et non à retour automatique ?
A : Deux raisons : ① Traçabilité de sécurité — un arrêt d'urgence à accrochage maintient son état « enfoncé » même après le départ de l'opérateur, permettant au personnel de maintenance d'identifier clairement qu'une personne a actionné l'arrêt d'urgence, facilitant ainsi l'analyse des causes ; ② Prévention des redémarrages intempestifs — un bouton à retour automatique peut se réarmer sous l'effet des vibrations ou au relâchement de l'opérateur, provoquant une remise sous tension soudaine de la grue après un arrêt inexpliqué. La norme EN 13557 exige explicitement que le réarmement de l'arrêt d'urgence soit une action manuelle distincte (rotation ou traction), et ne puisse être synchronisé avec d'autres opérations telles que la mise sous tension.
Q : Quelle est la différence entre un API de sécurité et un API standard ? Peut-on tout gérer avec un seul API ?
A : Non, ils ne sont pas interchangeables. Un API de sécurité (par exemple Siemens F-CPU, série Pilz PSS) intègre deux processeurs indépendants qui comparent leurs résultats en croisé, avec un cycle d'autodiagnostic ≤ 10 ms et un temps de réponse aux défauts ≤ 100 ms. Un API standard (par exemple Siemens S7-1200 version standard) repose sur une architecture à processeur unique, sans capacité de redondance matérielle. La norme EN 13557 impose que les fonctions de sûreté de niveau PLd/SIL2 soient réalisées par un API de sécurité, tandis que les fonctions non liées à la sécurité (éclairage, ventilation, etc.) peuvent utiliser un API standard. La pratique courante consiste à confier les circuits de sécurité à l'API de sécurité et les fonctions de process à l'API standard, les deux échangeant des données via des protocoles de communication sûrs tels que Profisafe ou CIP Safety.
Q : La télécommande sans fil offre-t-elle le même niveau de sécurité qu'un poste à boutons filaire ?
A : Du point de vue de la norme EN 13557, les deux solutions sont équivalentes lorsqu'elles atteignent le même niveau de sécurité, mais leurs chemins de réalisation diffèrent. Pour un poste filaire, le signal d'arrêt d'urgence transite par un câble physique directement connecté au relais de sécurité — le chemin du signal est un conducteur métallique dont le mode de défaillance principal est la rupture de câble (détectable). Pour la télécommande sans fil, le signal d'arrêt d'urgence est transmis par ondes radio — le chemin du signal passe par cinq étapes : codage, modulation, émission, démodulation et décodage. Une défaillance à l'une de ces étapes peut entraîner la perte de la commande d'arrêt d'urgence. C'est pourquoi la norme EN 13557 exige que la communication sûre de la télécommande sans fil atteigne le niveau SIL2 ou PLd — le système de télécommande doit donc intégrer des canaux de communication redondants et une fonction d'autosurveillance périodique de type « heartbeat » (les deux émetteurs-récepteurs s'envoient mutuellement un signal de validation toutes les 50 ms ; si le signal n'est pas reçu dans les 200 ms, un arrêt d'urgence est déclenché).
Q : Quels sont les contrôles à effectuer lors de l'inspection périodique du poste de commande ?
A : Les inspections périodiques exigées par la norme EN 13557 comprennent : ① Mensuel — test manuel de chaque bouton d'arrêt d'urgence (appui pour vérifier l'ouverture du contacteur principal, réarmement pour vérifier la possibilité de remise sous tension), avec consignation des résultats de chaque test ; ② Trimestriel — test de tous les fins de course (y compris les fins de course de décélération et les fins de course), vérification au multimètre de la variation de résistance des contacts (≤ 0,5 Ω à la fermeture, ≥ 1 MΩ à l'ouverture) ; ③ Annuel — test complet de toutes les fonctions de sûreté, incluant l'étalonnage du limiteur de surcharge avec des poids d'essai (erreur ≤ ± 5 %), la comparaison des valeurs calculées et mesurées du limiteur de moment de charge, ainsi que le test d'injection de défauts sur l'API de sécurité (simulation volontaire d'un défaut sur une voie d'entrée pour vérifier que l'API identifie correctement le défaut et déclenche l'arrêt de sécurité) ; ④ Tous les 5 ans — remplacement de tous les boutons d'arrêt d'urgence et des relais de sécurité (remplacement préventif des composants à durée de vie limitée), quel que soit leur état apparent.
